Un compte Facebook qui change de mains ne ressemble pas à un cambriolage. Rien ne casse, rien ne disparaît, et le propriétaire légitime met parfois plusieurs jours à s’en apercevoir. Pendant ce temps, le compte continue de vivre : il publie, il commente, il envoie des messages privés. Simplement, ce n’est plus lui qui écrit. Cette discrétion explique pourquoi les dégâts se mesurent rarement au contenu perdu, et presque toujours au nombre de personnes trompées avant la reprise de contrôle.
Un compte volé n’intéresse presque jamais le pirate pour ce qu’il contient
Les photos de vacances n’ont aucune valeur marchande. Ce qui en a une, c’est la liste d’amis et la confiance qui va avec. Un message demandant un virement urgent, un code reçu par SMS à retransmettre ou un lien vers une fausse cagnotte n’a pratiquement aucune chance d’aboutir quand il vient d’un inconnu. Envoyé depuis le compte d’un proche, avec la bonne photo de profil et dix ans d’historique de conversation au-dessus, il fonctionne.
C’est la raison pour laquelle le temps compte autant. Chaque heure supplémentaire, c’est une poignée de contacts supplémentaires sollicités, et le risque que l’un d’eux réponde. La récupération du compte est importante ; limiter la propagation l’est davantage.
Les signes qui ne trompent pas
Trois indices reviennent systématiquement. Le premier est une notification de connexion depuis un appareil ou une ville inconnus — Facebook les envoie, encore faut-il les lire. Le deuxième est un mail de la plateforme annonçant un changement d’adresse électronique ou de mot de passe que l’on n’a pas demandé : ce message-là est souvent le dernier signal avant la perte d’accès. Le troisième vient de l’extérieur, quand un ami demande si ce message bizarre vient bien de vous.
Un quatrième indice, plus discret, mérite d’être connu : des publications ou des commentaires que l’on ne se souvient pas d’avoir écrits, parfois dans des groupes où l’on n’est jamais intervenu. Les comptes détournés servent aussi à faire du volume publicitaire, et cette activité-là passe inaperçue pendant des semaines.
Reprendre la main tant que le mot de passe fonctionne
Si la connexion passe encore, la situation est largement récupérable, à condition de ne pas s’arrêter au changement de mot de passe. Trois opérations doivent suivre immédiatement.
La déconnexion de toutes les sessions actives, d’abord, dans les paramètres de sécurité : tant qu’une session ouverte subsiste sur la machine du pirate, le nouveau mot de passe ne l’empêche de rien. L’activation de la double authentification, ensuite, de préférence via une application dédiée plutôt que par SMS. La vérification, enfin, de l’adresse mail et du numéro de téléphone enregistrés sur le compte : un intrus prévoyant les remplace par les siens dès son arrivée, ce qui lui permettra de reprendre le compte plus tard, même après un changement de mot de passe.
Cette dernière vérification est celle que l’on oublie le plus souvent. Elle explique une bonne partie des comptes « repiratés » quelques jours après une récupération jugée réussie.
Quand l’adresse mail a été changée aussi
Le cas devient nettement moins confortable, sans être perdu. Facebook maintient une procédure de récupération pour les comptes compromis, accessible depuis l’adresse facebook.com/hacked, qui permet de partir d’une ancienne adresse mail ou d’un numéro de téléphone. La démarche demande de la méthode : elle se fait depuis un appareil déjà utilisé pour ce compte, parce que la plateforme s’appuie fortement sur cet historique pour décider qui est le propriétaire légitime.
Un point conditionne tout le reste : si la boîte mail associée est elle aussi compromise, il faut commencer par elle. Tant que quelqu’un lit vos messages, il intercepte et annule chaque tentative de récupération. Cet ordre des opérations — la messagerie d’abord, le réseau social ensuite — figure en tête de la marche à suivre pour un compte Facebook piraté publiée par Fix72 Sécurité, qui détaille aussi le cas particulier des comptes protégés par une double authentification que le pirate a lui-même activée.
Le ménage que presque personne ne fait
Compte récupéré ne veut pas dire incident clos. Un pirate qui a eu accès pendant quelques heures laisse généralement des portes derrière lui.
Les applications et sites tiers connectés au compte méritent une revue complète : il suffit d’une autorisation accordée pendant la compromission pour que l’accès survive au changement de mot de passe. Les règles de filtrage de la boîte mail associée aussi — une règle qui déplace automatiquement les messages de sécurité vers la corbeille est un classique, et elle est invisible tant qu’on ne va pas la chercher. Enfin, les administrateurs des pages professionnelles gérées depuis le compte doivent être vérifiés : l’ajout d’un administrateur inconnu est le scénario qui coûte le plus cher, parce qu’il survit à la reprise du compte personnel.
Prévenir ses contacts, pour de vrai
Publier « j’ai été piraté, ne cliquez pas » sur son mur rassure surtout celui qui l’écrit. Les personnes réellement exposées sont celles qui ont reçu un message privé, et elles ne liront pas forcément la publication. Un message direct aux contacts sollicités pendant la période de compromission est plus efficace, et il permet au passage de savoir si quelqu’un a payé — auquel cas le dépôt de plainte devient utile, avec les captures d’écran à l’appui.
Ce qui rend un compte difficile à voler
La plupart des comptes ne sont pas piratés par une prouesse technique. Ils le sont parce que le mot de passe circulait déjà dans une fuite de données d’un autre service, ou parce qu’un formulaire imitant la page de connexion a été rempli de bonne foi. Deux habitudes suffisent à casser ces deux mécanismes : un mot de passe unique par service, conservé dans un gestionnaire, et une double authentification par application.
Une troisième, moins connue, consiste à vérifier de temps en temps l’adresse mail et le numéro enregistrés sur ses comptes importants. C’est une minute deux fois par an, et c’est exactement l’information dont dépend toute récupération future.
